Bollettini sulla sicurezza

Di seguito vengono descritti tutti i bollettini di sicurezza relativi a Application Integration.

GCP-2026-044

Pubblicato il: 25/06/2026

Descrizione	Gravità	Note
È stata rilevata una vulnerabilità nell'attività JavaScript di Application Integration, che utilizzava il motore JavaScript Rhino. Ciò ha interessato solo le attività pubblicate prima di gennaio 2025. Che cosa devo fare? Google ha eseguito la transizione al motore JavaScript V8 più sicuro per le attività JavaScript in Application Integration. Da gennaio 2025, tutte le integrazioni pubblicate di recente utilizzano il motore V8 e, a partire dal 30 marzo 2026, il motore Rhino è stato completamente ritirato. Anche le esecuzioni che utilizzano il motore Rhino sono ora bloccate. Se hai integrazioni pubblicate prima di gennaio 2025, esamina le tue attività JavaScript per verificare che nessuna si basi ancora sul motore Rhino. Qualsiasi attività ancora configurata per l'utilizzo di Rhino non verrà più eseguita e deve essere migrata al motore V8. Per i passaggi della migrazione, vedi Eseguire la migrazione delle attività JavaScript. Quali vulnerabilità vengono affrontate? La vulnerabilità CVE-2025-0982 consentiva a un utente con l'autorizzazione a creare ed eseguire attività JavaScript di eseguire codice arbitrario all'interno dell'ambiente di esecuzione di Application Integration. In precedenza, l'attività JavaScript utilizzava il motore JavaScript Rhino per eseguire il codice JavaScript fornito dall'utente. Rhino consentiva l'utilizzo della reflection Java e la modifica degli oggetti di autorizzazione in memoria, che potevano essere combinati per bypassare Java Security Manager e uscire dalla sandbox di esecuzione prevista. Google ha risolto il problema passando al motore JavaScript V8 a gennaio 2025 e ritirando e bloccando completamente il motore Rhino il 30 marzo 2026.	Alta	CVE-2025-0982